Détection & Eradication des virus de boot

ViKToR69 · Le 10/04/2013, à 15:00

Bonjour,

En théorie, quand on formate ou efface une partition, les virus sont supprimés ... mais en pratique ??

Certains virus, même après un formatage continuent d'être actif comme les virus de boot se logeant dans le secteur de boot/MBR ...
Même les antivirus ne les détectent pas ! Ces virus peuvent se loger sur tout type de support bootable.

Comment faire pour les détecter et les éradiquer ?

Cordialement,

cep · Le 10/04/2013, à 15:06

dd ou shred sur tout le disque ou au moins les premiers secteurs du disque et si besoin, avant de s'occuper du mbr, passer dd ou shred sur les débuts des partitions. Bien sûr il faudra réinstaller une table de partition ensuite et toutes les données seront perdues.

Brunod · Le 10/04/2013, à 15:16

Évidemment, pas de formatage sous windows avec un os infecté, sinon tu peux recommencer non-stop...

Nasman · Le 10/04/2013, à 15:38

On peut imaginer que ce problème peut exister sous Linux (virus qui "protégerait" l'écriture du mbr) mais grâce à la magie du LiveCD il est possible d'écrire sur le disque sans que l'OS installé (et peut être vérolé) n'ait son mot à dire.

ViKToR69 · Le 11/04/2013, à 10:53

merci pour ces commentaires mais pouvez-vous être plus précis et développer vos réponses svp ...

Brunod · Le 11/04/2013, à 11:08

linux livecd, formatage du disque -> certain qu'il n'y a plus rien.

ViKToR69 · Le 11/04/2013, à 11:15

Brunod a écrit :

linux livecd, formatage du disque -> certain qu'il n'y a plus rien.

le formatage ne modifie en rien le MBR seule la table des partitions primaires est modifiée

Brunod · Le 11/04/2013, à 11:27

http://forum.ubuntu-fr.org/viewtopic.php?id=97697

moko138 · Le 11/04/2013, à 11:36

dd a été mentionné plus haut : as-tu regardé sa doc ?

voxpopuli · Le 11/04/2013, à 11:38

quand as un nouveau pc que tu estimes sain, fait une sauvegarde de la table des partitions via CloneZilla. Ca te sauvera la vie en cas de crash généralisé et non désiré et si tu te retrouve avec un windobe verolé et que tu ne peux le formater sans utiliser un crack dans lequel il y a 9 chances sur 10 qu'il y aille un virus.
Bien entendu si tu n'as pas envie/besoin de réavoir windows, rien ne t'empêche comme cité plus haut de passer par un cd-live (http://doc.ubuntu-fr.org/live_cd) de supprimer la table de partition puis de recréer une nouvelle, d'installer un nouveau MBR (automatique en installant ubuntu faut juste zieuter l'option "installer le secteur d'amorçage sur ..." et un nouvel OS.

J'ai entendu dire que des virus hight tech plus rare pouvaient aussi se cacher dans la ROM du bios (soucis réglable via flashage du bios (dangereux) voir en enlevant la pile sur la carte mère pendant 2 min => testé sur une vieille machine qui refusait de démarrer)

Nasman · Le 11/04/2013, à 12:32

dd permet d'écrire directement sur le disque, indépendamment de la présense (ou non) d'une table des partitions et des systèmes de fichiers existants. C'est une fonction très dangereuse à utiliser si on ne sait pas exactement ce que l'on fait. En effet une erreur sur :
- le disque ou la partition à traiter
- l'emplacement précis de la zone modifiée
- le contenu de ce qui est écrit
induira un grand risque de perdre toutes tes données, des OS existants (et parfois la possibilité de le réinstaller).

Par contre dans le cas d'un effacement souhaité du contenu du disque (attention à débrancher les disques physiques qui pourraient par erreur être effacés) dd est approprié (ou mieux dcfldd qui affiche une barre de progression durant l'opération).

Et bien connaitre la différence entre disques et partitions, partitions principales, étendue, logiques...

ViKToR69 · Le 11/04/2013, à 14:32

Nasman a écrit :

dd ... C'est une fonction très dangereuse à utiliser si on ne sait pas exactement ce que l'on fait. En effet une erreur sur :
- le disque ou la partition à traiter
- l'emplacement précis de la zone modifiée
- le contenu de ce qui est écrit
induira un grand risque de perdre toutes tes données, des OS existants (et parfois la possibilité de le réinstaller).

ok mais mon but est de tout effacer, formater et repartir sur une base saine avec disons, "des disques durs touts neufs" !
Donc, je risque rien ... ?

voxpopulisupprimer a écrit :

la table de partition puis de recréer une nouvelle, d'installer un nouveau MBR (automatique en installant ubuntu faut juste zieuter l'option "installer le secteur d'amorçage sur ..." et un nouvel OS.

est-il possible de récréer une table de partition, un nouveau MBR manuellement ? ou c'est seulement les installateurs des OS qui peuvent réaliser ces opérations ?

voxpopulisupprimer a écrit :

J'ai entendu dire que des virus hight tech plus rare pouvaient aussi se cacher dans la ROM du bios

en théorie, on ne peut pas venir écrire dans une ROM ! à coté de la ROM tu as la mémoire CMOS qui contient la configuration de ton BIOS. Ces informations sont maintenus par la pile, donc effectivement, si tu enlèves la pile le CMOS perd ses données ... ces virus devraient donc se loger dans la CMOS ?? Je sais pas trop, à voir ?

moko138 a écrit :

dd a été mentionné plus haut : as-tu regardé sa doc ?

non, mais ça ne saurait tarder

Brunod a écrit :

http://forum.ubuntu-fr.org/viewtopic.php?id=97697

ça à l'air intéressant, merci !

J'ai pas tout fini de lire, mais existe-t-il un utilitaire qui scan (automatiquement) le MBR (les différents secteurs etc ...) et qui détecterait les éventuels virus ou tout autre problème, au même titre que le ferait un antivirus ?

Brunod · Le 11/04/2013, à 14:55

ViKToR69 a écrit :

[... existe-t-il un utilitaire qui scan (automatiquement) le MBR (les différents secteurs etc ...) et qui détecterait les éventuels virus ou tout autre problème, au même titre que le ferait un antivirus ?

Je suppose qu'un anti virus (clamav ?) devrait le faire, mais je te laisse chercher car je n'en ai jamais eu besoin tant qu'à présent.

Nasman · Le 11/04/2013, à 14:58

Si tu veux juste effacer le mbr du premier disque physique (/dev/sda) il faut taper dans un terminal (en mode LiveCD ou LiveUSB)

sudo dd if=/dev/zero of=/dev/sda bs=512 count=1

Attention cette commande est très dangereuse. Explication :
sudo: te fait passer en mode superutilisateur, ce qui te donne tous les droits (pour tout casser)
dd: nom de la commande
if=/dev/zero : flux de données en entrée ; ici un générateur de zéros (pour effacer) - alternative /dev/urandom qui génère des caractères aléatoires
of=/dev/sda : destination des données ; /dev/sda est le premier disque dur physique
bs=512 : taille du bloc transféré ; ici 512 octets, soit un secteur
count=1 : 1 seul bloc de 512 octets est transféré.

Globalement la commande efface les 512 premiers octets du disque dur qui correspondent au mbr.
Les 440 premiers octets sont réservés au code présent dans le mbr (en général une routine chargée en mémoire vive lors du démarrage sur disque dur et qui vérifie la cohérence de la table des partitions ; c'est là qu'un virus de mbr peut s'installer)
Vient ensuite l'identifiant du disque (4 octets) puis à l'octet 446 (&be en hexa) commence la table des partitions (si type de partition msdos)
Chacune des partitions principales fait 16 octets, soit 4 partitions principales possibles.
Enfin la signature "média bootable" se trouve au deux derniers octets (signature aa55 en 510-511)

ViKToR69 · Le 11/04/2013, à 15:37

Brunod a écrit :

ViKToR69 a écrit :
[... existe-t-il un utilitaire qui scan (automatiquement) le MBR (les différents secteurs etc ...) et qui détecterait les éventuels virus ou tout autre problème, au même titre que le ferait un antivirus ?
Je suppose qu'un anti virus (clamav ?) devrait le faire, mais je te laisse chercher car je n'en ai jamais eu besoin tant qu'à présent.

J'ai déjà utilisé Clamav mais on ne peut pas sélectionner le MBR pour scan, on peut juste scaner dossiers et fichiers !

Nasman a écrit :

sudo dd if=/dev/zero of=/dev/sda bs=512 count=1
Globalement la commande efface les 512 premiers octets du disque dur qui correspondent au mbr.

Donc, on pourrait imaginer venir écrire des zéros sur tout un disque dur en remplaçant bs=512 par le nombre de secteurs que contient le disque dur ? et donc ne pas utiliser la commande FDISK ou FORMAT ou un utilitaire comme Gparted pour effacer ses partitions ?

Nasman a écrit :

Les 440 premiers octets sont réservés au code présent dans le mbr (en général une routine chargée en mémoire vive lors du démarrage sur disque dur et qui vérifie la cohérence de la table des partitions ; c'est là qu'un virus de mbr peut s'installer)
Vient ensuite l'identifiant du disque (4 octets) puis à l'octet 446 (&be en hexa) commence la table des partitions (si type de partition msdos)
Chacune des partitions principales fait 16 octets, soit 4 partitions principales possibles.
Enfin la signature "média bootable" se trouve au deux derniers octets (signature aa55 en 510-511)

un virus ne pourrait-il pas s'implanter dans la zone "media bootable" justement ?

Nasman · Le 11/04/2013, à 15:45

La zone "média bootable" ne fait que deux octets, ça va être dur pour y coder un virus fonctionnel. Si ces octets sont modifiés, je pense que le processus de chargement va s'arrêter très vite.

cep · Le 11/04/2013, à 18:56

Nasman a écrit :

La zone "média bootable" ne fait que deux octets, ça va être dur pour y coder un virus fonctionnel. Si ces octets sont modifiés, je pense que le processus de chargement va s'arrêter très vite.

oui.
Autant passer dd sur les premiers 2048.
Et autant qu'à faire passer avant le mbr dd sur les débuts de chaque fs, il sera plus simple ainsi si besoin de retrouver une table détruite. Et enfin, s'il s'agit de recréer une table autant prendre une table gpt.
Si on veut s'amuser on peut aussi s'inspirer de ceci en adaptant ensuite à gparted et des tables gpt :
http://forum.ubuntu-fr.org/viewtopic.ph … 43#p436843

Bonne continuation.
cep

ViKToR69 · Le 14/04/2013, à 16:55

cep a écrit :

Autant passer dd sur les premiers 2048.

et comme je disais plus haut :

ViKToR69 a écrit :

Nasman a écrit :
sudo dd if=/dev/zero of=/dev/sda bs=512 count=1
Globalement la commande efface les 512 premiers octets du disque dur qui correspondent au mbr.
Donc, on pourrait imaginer venir écrire des zéros sur tout un disque dur en remplaçant bs=512 par le nombre de secteurs que contient le disque dur ? et donc ne pas utiliser la commande FDISK ou FORMAT ou un utilitaire comme Gparted pour effacer ses partitions ?

commentaires ?

cep a écrit :

s'il s'agit de recréer une table autant prendre une table gpt.

Je pense laisser la table gpt de coté pour l'instant

cep · Le 14/04/2013, à 20:07

ViKToR69 a écrit :

cep a écrit :
Autant passer dd sur les premiers 2048.
et comme je disais plus haut :
ViKToR69 a écrit :
Nasman a écrit :
sudo dd if=/dev/zero of=/dev/sda bs=512 count=1
Globalement la commande efface les 512 premiers octets du disque dur qui correspondent au mbr.
Donc, on pourrait imaginer venir écrire des zéros sur tout un disque dur en remplaçant bs=512 par le nombre de secteurs que contient le disque dur ? et donc ne pas utiliser la commande FDISK ou FORMAT ou un utilitaire comme Gparted pour effacer ses partitions ?
commentaires ?

Tu peux en effet utiliser dd pour effacer la totalité du disque, oui. Mais ce sera très long sur la totalité du disque, suivant la taille du périphérique. Remplacer bs=512 par le nombre de secteurs du dique ? non, cela ne fonctionne aps ainsi. À la rigueur tu peux donner une valeur de x Mo pour légèrement augmenter la vitesse de traitement, mais dd sera de toute manière très long.

Par contre il te faudra de toute façon utiliser gparted pour recréer une table et des partitions. Concernant gpt c'est dommage de s'en priver.

Bonne installation.
cep

ViKToR69 · Le 15/04/2013, à 11:15

Salut à tous,

Je vais bien relire et digérer tout ça ! Merci pour ces explications ...

a+

ViKToR69 · Le 17/04/2013, à 10:26

voxpopuli a écrit :

J'ai entendu dire que des virus hight tech plus rare pouvaient aussi se cacher dans la ROM du bios (soucis réglable via flashage du bios (dangereux) voir en enlevant la pile sur la carte mère pendant 2 min => testé sur une vieille machine qui refusait de démarrer)

J'ai lu ceci : rootkit - Pour info, les rootkits résistent au formatage en résidant dans le BIOS !

ViKToR69 · Le 22/04/2013, à 16:40

Bonjour,

Quelques petites questions:

- comment est-on infecté par un virus de boot ?
- quels sont les symptômes ? que font-ils ?
- quand on est infecté par un virus de boot, est-il possible qu'il contamine les autres disques durs internes mais aussi externes en USB ?
- peut-il contaminer également les gravures CD ?
- existe-il un logiciel qui permette de les détecter ?

Merci,

ViKToR69 · Le 13/05/2013, à 15:04

Salut,

J'ai effectué un sudo fdisk -l et voici le résultat:

Disk /dev/sda: 160.0 GB, 160041885696 bytes
255 têtes, 63 secteurs/piste, 19457 cylindres, total 312581808 secteurs
Unités = secteurs de 1 * 512 = 512 octets
Taille de secteur (logique / physique) : 512 octets / 512 octets
taille d'E/S (minimale / optimale) : 512 octets / 512 octets
Identifiant de disque : 0x013fbc26

Périphérique Amorce  Début        Fin      Blocs     Id  Système
/dev/sda1   *        2048    19531775     9764864   83  Linux
/dev/sda2        19531776    42969087    11718656   83  Linux
/dev/sda3        42969088    46874623     1952768   82  partition d'échange Linux / Solaris

Disk /dev/sdb: 40.0 GB, 40020664320 bytes
255 têtes, 63 secteurs/piste, 4865 cylindres, total 78165360 secteurs
Unités = secteurs de 1 * 512 = 512 octets
Taille de secteur (logique / physique) : 512 octets / 512 octets
taille d'E/S (minimale / optimale) : 512 octets / 512 octets
Identifiant de disque : 0xf920f920

Périphérique Amorce  Début        Fin      Blocs     Id  Système
/dev/sdb1            2048    78163967    39080960    b  W95 FAT32

Disk /dev/sdc: 1000.2 GB, 1000202043392 bytes
255 têtes, 63 secteurs/piste, 121600 cylindres, total 1953519616 secteurs
Unités = secteurs de 1 * 512 = 512 octets
Taille de secteur (logique / physique) : 512 octets / 512 octets
taille d'E/S (minimale / optimale) : 512 octets / 512 octets
Identifiant de disque : 0x0002846e

Périphérique Amorce  Début        Fin      Blocs     Id  Système
/dev/sdc1            2048  1953519615   976758784    b  W95 FAT32

NOTA: Ce partionnement a été réalisé avec Gparted du DesktopCD d'Ubuntu 12.04.1 "Prescice Pangolin" en session Live ...
la commande dd n'a pas été utilisé ...

A la lecture nous pouvons constater que toutes les partitions débutent au 2048 ème secteur soit, 2048*512=1048576 octets=1Mio de perdus ... Je ne le plains pas de perdre 1Mio mais je me pose plutôt la question "Qui a-t-il dans ces 1Mio ?" et pourquoi 2048 ? pourquoi pas 4096 ?

Avant, mes disques ne débutaient pas à 2048 mais à une autre valeur, je crois 63 mais je n'en suis pas sûr !
Donc, qu'est-ce qui conditionne la valeur de début de partion ? Est-il possible d'agir sur cette valeur ?

Autre chose aussi, si nous prenons le disque /dev/sdb: 40.0 GB, 40020664320 bytes et que nous prenions le nombre total de secteurs soient 78165360*512=40020664320 octets, on retrouve bien les 40020664320 bytes, ça c'est ok !
Mais, si on prend la valeur de la fin de partition égale à 78163967 secteurs*512 on devrait retrouver la même valeur calculée juste avant mais il n'en est rien puisque on trouve 78163967 secteurs*512=40019951104 octets, différence 40020664320-40019951104=713216 octets=696,5Kio.
Bien sûr, cette perte est négligeable ! Mais, pourquoi je ne retombe pas sur mes pieds ... Rien ne doit se perdre, ni se créer ...
Qui a-t-il sur ces 696,5Kio ?

Enfin, à quoi correspond Blocs ?

Nasman · Le 13/05/2013, à 15:22

Les 63 premiers secteurs correspondaient à l'ancienne taille d'une piste. Un disque dur était virtuellement constitué de :
255 têtes
63 secteurs par piste
un nombre de cylindre.
Le premier secteur de la première piste est le mbr, la première partition commençait au début de la deuxième tête du premier cylindre.
Un cylindre faisait 63 secteurs/piste x 255 têtes = 16065 secteurs (de 512 octets)

La deuxième partition commençait au début d'un cylindre (donc à un multiple de 16065 secteurs).

Comme 16065 est impair (et n'est pas un multiple de 2) il y a un souci de performances car les données ne sont pas alignées. De plus avec l'avènement des ssd, l'antique géométrie des disques a vécu.
Les partitions sont désormais alignées au niveau du Mio, soit 2048 secteurs de 512 octets.

Autre chose qui doit aussi influer :
Avec des secteurs de 512 octets, la taille maximale d'un disque est de 256x256x256x256x512 octets, soit 2 Tio (car l'emplacement des partition est codé sur 4 octets). Je pense que la taille standard des secteurs passera bientôt vers un multiple de 512 (comme 2048) et avoir des tailles des partitions multiples de 2048 facilite la compatibilité future (pour disques > 2 Tio)

ViKToR69 · Le 16/05/2013, à 15:27

merci pour ces infos ...

Mes disques durs ont des âges différents:
- le 40Go a 10ans,
- le 160Go 3ans,
- et le 1To quelques mois seulement

Les 2048octects soient 1Mio sont fixés par le logiciel de partitionnement que l'on utilise et en aucun cas par l'âge du disque dur ... non ? Quand j'utilise MSDOS/FDISK pour partitionner, je n'obtenais pas 2048 !

et concernant mes autres interrogations ... ?

ViKToR69 a écrit :

Autre chose aussi, si nous prenons le disque /dev/sdb: 40.0 GB, 40020664320 bytes et que nous prenions le nombre total de secteurs soient 78165360*512=40020664320 octets, on retrouve bien les 40020664320 bytes, ça c'est ok !
Mais, si on prend la valeur de la fin de partition égale à 78163967 secteurs*512 on devrait retrouver la même valeur calculée juste avant mais il n'en est rien puisque on trouve 78163967 secteurs*512=40019951104 octets, différence 40020664320-40019951104=713216 octets=696,5Kio.
Bien sûr, cette perte est négligeable ! Mais, pourquoi je ne retombe pas sur mes pieds ... Rien ne doit se perdre, ni se créer ...
Qui a-t-il sur ces 696,5Kio ?
Enfin, à quoi correspond Blocs ?

Cordialement,

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 10/04/2013, à 15:00

Détection & Eradication des virus de boot

#2 Le 10/04/2013, à 15:06

Re : Détection & Eradication des virus de boot

#3 Le 10/04/2013, à 15:16

Re : Détection & Eradication des virus de boot

#4 Le 10/04/2013, à 15:38

Re : Détection & Eradication des virus de boot

#5 Le 11/04/2013, à 10:53

Re : Détection & Eradication des virus de boot

#6 Le 11/04/2013, à 11:08

Re : Détection & Eradication des virus de boot

#7 Le 11/04/2013, à 11:15

Re : Détection & Eradication des virus de boot

#8 Le 11/04/2013, à 11:27

Re : Détection & Eradication des virus de boot

#9 Le 11/04/2013, à 11:36

Re : Détection & Eradication des virus de boot

#10 Le 11/04/2013, à 11:38

Re : Détection & Eradication des virus de boot

#11 Le 11/04/2013, à 12:32

Re : Détection & Eradication des virus de boot

#12 Le 11/04/2013, à 14:32

Re : Détection & Eradication des virus de boot

#13 Le 11/04/2013, à 14:55

Re : Détection & Eradication des virus de boot

#14 Le 11/04/2013, à 14:58

Re : Détection & Eradication des virus de boot

#15 Le 11/04/2013, à 15:37

Re : Détection & Eradication des virus de boot

#16 Le 11/04/2013, à 15:45

Re : Détection & Eradication des virus de boot

#17 Le 11/04/2013, à 18:56

Re : Détection & Eradication des virus de boot

#18 Le 14/04/2013, à 16:55

Re : Détection & Eradication des virus de boot

#19 Le 14/04/2013, à 20:07

Re : Détection & Eradication des virus de boot

#20 Le 15/04/2013, à 11:15

Re : Détection & Eradication des virus de boot

#21 Le 17/04/2013, à 10:26

Re : Détection & Eradication des virus de boot

#22 Le 22/04/2013, à 16:40

Re : Détection & Eradication des virus de boot

#23 Le 13/05/2013, à 15:04

Re : Détection & Eradication des virus de boot

#24 Le 13/05/2013, à 15:22

Re : Détection & Eradication des virus de boot

#25 Le 16/05/2013, à 15:27

Re : Détection & Eradication des virus de boot

Pied de page des forums